信息安全等级保护解决方案

THE BUSENESS PLAN
信息安全等级保护解决方案
等级保护背景介绍发展历程
信息安全等级保护是基本制度、基本国策、基本方法
• 信息安全等级保护是党中央国务院决定在信息系统安全领域实施的基本国策 • 信息安全等级保护是国家信息安全保障工作的基本制度 • 信息安全等级保护是国家信息安全保障工作的基本方法
分析应用系统的流程，确 定用户（主体）和访问 的文件（客体）的级别 （标记），以此来制定 访问控制安全策略，由 操作系统、安全网关等 机制自动执行，从而支 撑应用安全
等级保护防护框架
等级保护总体设计流程
Leabharlann Baidu
梳理业务流程
分析关键保护点 梳理主、客体及权
限
对系统进行风险评 估
分层分域设计
安全机制及策略设 计
设备 防护
要点： 组合鉴别技术 特权用户权限分离
恶意代 码防范
要点： 记录、报警、阻断
边界安 全检查
入侵 防范
要点： 记录、报警、阻断
在云计算环境中，除以上必要的保护措施外，还需考虑云使用者利用云资源发起的网络攻 击、云租户之间的隔离以及云租户与云服务商的审计独立
设计身份认证及程序可信保护机制，确保主体可信； 设计访问控制机制及策略，保证主体对客体的最小访问权限； 设计保密性、完整性保护机制，确保重要客体的保密性及完整性不被破坏； 设计安全管理中心，保证系统安全机制始终可管。
等级保护基本框架要求
系统安全防护要求
技术要求
管理要求
物网主应数 理络机用据 安安安安安 全全全全全
[2009]1429号）
推行阶段
2010年3月公安部发文 《关于推动信息安全等 级保护测评体系建设和 开展等级测评工作的通 知》（公信安[303]号）
2016年10月公安部网络安全 保卫局组织对原有国家标准 GB/T 22239-2008等系列标 准进行了修订，新的国家标 准（简称新国标）将于近期
正式发布。
起步阶段
发展阶段
中华人民共和国计算机 信息系统安全保护条例 (1994年2月18日中华人 民共和国国务院令147号
发布)
2003年9月中办国办颁发 《关于加强信息安全保 障工作的意见》（中办
发[2003]27号）
2004年11月四部委会签 《关于信息安全等级保 护工作的实施意见》 （公通字[2004]66号）
梳理业务流程是给系统量身定制安全设计方案的基础； 通过业务流程的梳理，了解系统的现状、特点及特殊安全需求，为后续方案设计
奠定基础。
找出系统中的所有主体及客体； 明确主体对客体的最小访问权限。
基于一个中心、三重防护，构建安全防护体系； 从不同层次、不同位置设计纵深防御体系，防止单点失效。
安全产品协助防护
安安人系系 全全员统统 管管安建运 理理全设维 机制管管管 构度理理理
网络安全解读
要点： 端口控制、防地址欺骗 协议过滤、会话控制 最大流量数及最大连接数
要点： 审计记录 审计报表 审计记录的保护
要点： 非授权设备接入 非授权网络联出
访问 控制
安全 审计
结构 安全
网络安全
要点： 主要设备冗余空间、安全路径控制、整体网 络带宽、带宽优先级、重要网段部署
新等保阶段
等级保护管理组织
指导监管部门： 国家等保工作 开展、推进、指 导。
技术支撑部门： 国家等保标准制定、修订、培训、 技术指导以及全国测评单位管理。
国家测评机构
行业测评机构
地方测评机构
等级保护主要工作流程
监督检查是保护能力不断提高的保障
一 定级
二 备案
三 建设整改
四 等级测评
等级测评是评价安全保护状况的方法 建设整改是等级保护工作落实的关键
等级保护防护框架
建设“一个中心”管理、 “三重防护”体系， 分别对计算环境、区 域边界、通信网络体 系进行管理，实施多 层隔离和保护，以防 止某薄弱环节影响整 体安全
重点对操作人员使用的终 端、业务服务器等计算节 点进行安全防护，控制操 作人员行为，使其不能违 规操作，从而把住攻击发 起的源头，防止发生攻击 行为
损害 特别严重损害
严重损害 特别严重损害
监管强度
自主保护 指导
监督检查
强制监督检查 专门监督检查
等级保护建设核心思想
信息系统的安全设计应基于业务流程自身特点，建立“可信、可控、可管”的安全防护 体系，使得系统能够按照预期运行，免受信息安全攻击和破坏。
可信 1 可管 3
即以可信认证为基础，构建一个可信的业务系统执行环境，即用户、平台、程 序都是可信的，确保用户无法被冒充、病毒无法执行、入侵行为无法成功。可 信的环境保证业务系统永远都按照设计预期的方式执行，不会出现非预期的流 程，从而保障了业务系统安全可信。
字［2007］43号 ）
2007年7月《关于开展全 国重要信息系统安全等 级保护定级工作的通知》 （公信安[2007]861号）
2008年发布GB/T 22239—2008 《信息系 统安全等级保护基本要 求》、GB/T 22240— 2008 《信息系统安全等
级保护定级指南》
2009年公安部发文《关 于开展信息系统等级保 护安全建设整改工作的 指导意见》（公信安
备案是等级保护的核心 定级是等级保护的首要环节
重要行业关键信息系统划分及定级建议
等级
第一级
第二级
对象
一般 系统
第三级 第四级
重要 系统
第五级 极端重要系统
侵害客体
合法权益 合法权益 社会秩序和公共利益 社会秩序和公共利益 国家安全 社会秩序和公共利益 国家安全 国家安全
侵害程度
损害 严重损害
损害 严重损害
可控 2
即以访问控制技术为核心，实现主体对客体的受控访问，保证 所有的访问行为均在可控范围之内进行，在防范内部攻击的同 时有效防止了从外部发起的攻击行为。对用户访问权限的控制 可以确保系统中的用户不会出现越权操作，永远都按系统设计 的策略进行资源访问，保证了系统的信息安全可控。
即通过构建集中管控、最小权限管理与三权分立的管理平台，为管理员创建一个 工作平台，使其可以进行技术平台支撑下的安全策略管理，从而保证信息系统安 全可管。
2005年9月国信办文件 《 关于转发《电子政务 信息安全等级保护实施 指南》的通知 》（国信
办[2004]25号）
2006年1月四部委会签 《 关于印发《信息安全 等级保护管理办法的通 知 》（公通字[2006]7号）
2007年6月公安部、保密 局、国密局、国信办联 合印发《信息安全等级 保护管理办法》（公通